Cómo asegurar tus variables de entorno y secretos
Las apps creadas con IA rutinariamente filtran secretos al ponerlos en variables de entorno del lado del cliente, al confirmar archivos .env o al exponerlos en el paquete. Todo lo que está en el navegador es público: los secretos deben vivir únicamente en el servidor.
Paso a paso
- 1
Conoce qué variables son públicas
Prefijos como NEXT_PUBLIC_, VITE_ o REACT_APP_ llegan al navegador. Nunca pongas un secreto real detrás de un prefijo público: solo configuración no sensible.
- 2
Mantén los secretos en el servidor
Guarda los secretos de API, las claves service-role y los tokens en variables de entorno exclusivas del servidor y accede a ellos solo desde código del servidor o funciones sin servidor.
- 3
Ignora y purga los archivos .env
Agrega .env y .env*.local a .gitignore. Si alguna vez se confirmó un secreto, rótalo y púrgalo del historial de git: de lo contrario, persiste en commits antiguos.
- 4
Escanea y verifica
Escanea tu paquete desplegado y tu repositorio en busca de claves expuestas, y rota todo lo que se haya filtrado.
¿Quieres que lo verifiquen, no solo que lo corrijan?
Corregirlo es el primer paso. Una revisión de ClearedToShip confirma que la corrección realmente se sostiene y te entrega una autorización firmada y asegurada para lanzar. Únete al acceso anticipado: